Ryze | IT, Gadgets si Crypto

Cercetatorii de securitate de la Google spun ca au gasit o serie de site-uri web rau intentionate, care, atunci cand sunt vizitate, ar putea sa-si ataseze in mod linistit iPhone-ul unei victime, exploatand un set de defecte ale software-ului nevazute anterior.

 

Proiectul Google Zero a spus intr-o postare pe blogul cu o adancime publicata joi tarziu ca site-urile web au fost vizitate de mii de ori pe saptamana de catre victimele care nu se uita, in ceea ce au descris ca un atac „nediscriminat”.

 

„Simpla vizitare a site-ului hacked a fost suficienta pentru ca serverul exploat sa atace dispozitivul dvs. si, daca a avut succes, instalati un implant de monitorizare”, a spus Ian Beer, cercetator de securitate la Project Zero.

El a spus ca site-urile web hacking iPhone-uri pe o perioada de cel putin doi ani.

 

Cercetatorii au descoperit cinci lanturi de exploatare distincte care implica 12 defecte de securitate separate, inclusiv sapte care implica Safari, browserul web integrat pe iPhone. Cele cinci lanturi de atac separate au permis unui atacator sa obtina acces „radacina” la dispozitiv – cel mai inalt nivel de acces si privilegiu pe un iPhone. In acest sens, un atacator ar putea avea acces la gama completa de functii ale dispozitivului, in mod normal in afara utilizatorului. Asta inseamna ca un atacator ar putea instala in mod linistit aplicatii rau intentionate pentru a spiona un proprietar de iPhone fara stirea sau consimtamantul acestora.

 

Google a spus ca, pe baza analizei lor, vulnerabilitatile au fost folosite pentru a fura fotografiile si mesajele utilizatorului, precum si pentru a urmari locatia lor in timp real. „Implantul” ar putea accesa, de asemenea, banca de parola salvata pe dispozitiv a utilizatorului.

 

Vulnerabilitatile afecteaza iOS 10 pana la versiunea actuala de software iOS 12.

 

Google a dezvaluit in mod privat vulnerabilitatile in februarie, oferindu-i Apple doar o saptamana pentru a remedia defectele si a extinde actualizarile utilizatorilor sai. Aceasta este o fractiune din cele 90 de zile oferite in mod obisnuit dezvoltatorilor de software, oferind un indiciu al gravitatii vulnerabilitatilor.

 

Apple a emis o corectie sase zile mai tarziu cu iOS 12.1.4 pentru iPhone 5s si iPad Air si mai tarziu.

 

Beer a spus ca este posibil ca alte campanii de hacking sa fie in prezent in actiune.

 

Producatorul de iPhone si iPad, in general, are un rap bun pe probleme de securitate si confidentialitate. Recent, compania si-a marit suma maxima de repunere a erorilor la un milion de dolari pentru cercetatorii de securitate care gasesc defecte care pot viza in mod silentios un iPhone si obtine privilegii la nivel de radacina fara nicio interactiune cu utilizatorii. In conformitate cu noile reguli de recompensa Apple – care vor intra in vigoare la sfarsitul acestui an – Google ar fi eligibil pentru cateva milioane de dolari in bonuri.